前提：使用virsh管理kvm虛擬機器的時候出現需要使用密碼的情況

[[email protected]1 ~]# virsh list --all
Please enter your authentication name: root
Please enter your password: 
error: Failed to reconnect to the hypervisor
error: no valid connection
error: authentication failed: authentication failed

原因分析使用了sasl認證

# 解決
 

[[email protected]1 ~]# saslpasswd2 -a libvirt admin
Password:  # 輸入密碼
Again (for verification): # 確認密碼
[[email protected]1 ~]# virsh list --all            
Please enter your authentication name: admin
Please enter your password: #密碼
 Id    Name                           State
----------------------------------------------------
 

 1     kvm-1                          running
 2     kvm-2                          running
 -     kvm-3                          shut off
# 可以看出建立密碼後可以通過virsh正常管理kvm虛擬機器

下面詳細介紹摘自：IBM

使用 SASL 認證和加密進行遠端管理

Simple Authentication and Security Layer (SASL) 提供了安全認證和資料加密，但是允許與傳統或外部認證和授權服務整合。

在其最簡單的形式下，SASL 可用來定義用於進行授權的憑證的資料庫。在較複雜的場景中，它可與外部認證服務（例如 Kerberos 或輕量級目錄訪問協議 (LDAP)）一起工作以對使用者進行認證。在這兩種場景中，如果遠端管理請求並非在受保護的傳輸層安全性 (TLS) 連線上面執行，那麼 libvirtd 守護程式通過需要“類屬安全性服務”應用程式程式設計介面 (GSSAPI) 作為 SASL 方法來提供機密性。libvirtd 守護程式可將 DIGEST-MD5 而不是 GSSAPI 用作 SASL 方法。但是，MD5 雜湊被視為不安全，不應該使用。SASL 的這些變體支援對推送的資料進行加密。為簡便起見，此示例將 DIGEST-MD5 用作 SASL 方法。
要在最簡單的場景（沒有外部認證或 TLS 安全性）中使用 SASL 配置遠端管理，請完成下列步驟：

1. 登入到 KVM 主機。
2. 儲存 /etc/libvirt/libvirtd.conf 檔案和 /etc/sysconfig/libvirtd 檔案的副本。

3. 編輯 /etc/libvirt/libvirtd.conf 檔案，並進行下列更改：

   • 通過將 listen_tls 配置偽指令設定為 0 來禁用該偽指令（因為沒有配置任何 TLS 證書）。否則，libvirtd 守護程式啟動會失敗。

   • 確保通過將配置偽指令 listen_tcp 設定為 1 來啟用該偽指令。

   • 將 auth_tcp 配置偽指令設定為 sasl，以啟用通過 TCP 進行 SASL 認證。

以下示例顯示了這些引數（與股票 libvirtd.conf 檔案對比），突出顯示了要刪除 (-) 和增加 (+) 的更改：

--- libvirtd.conf.orig  2012-01-04 11:28:32.000000000 -0600
+++ libvirtd.conf       2012-01-04 11:34:02.000000000 -0600
@@ -19,7 +19,7 @@
 # using this capability.
 #
 # This is enabled by default, uncomment this to disable it
-#listen_tls = 0
+listen_tls = 0
 # Listen for unencrypted TCP connections on the public TCP/IP port.
 # NB, must pass the --listen flag to the libvirtd daemon process for this to
@@ -30,7 +30,7 @@
 # DIGEST_MD5 and GSSAPI (Kerberos5)
 #
 # This is disabled by default, uncomment this to enable it.
-#listen_tcp = 1
+listen_tcp = 1


@@ -143,7 +143,7 @@
 # Don't do this outside of a dev/test scenario. For real world
 # use, always enable SASL and use the GSSAPI or DIGEST-MD5
 # mechanism in /etc/sasl2/libvirt.conf
-#auth_tcp = "sasl"
+auth_tcp = "sasl"
 # Change the authentication scheme for TLS sockets.
 #

• 編輯 /etc/sysconfig/libvirtd 檔案並啟用 –listen 引數，以便 libvirtd 守護程式偵聽 TCP/IP 連線：

--- libvirtd.orig       2012-01-04 11:41:37.000000000 -0600
+++ libvirtd    2012-01-04 11:31:33.000000000 -0600
@@ -3,7 +3,7 @@

 # Listen for TCP/IP connections
 # NB. must setup TLS/SSL keys prior to using this
-#LIBVIRTD_ARGS="--listen"
+LIBVIRTD_ARGS="--listen"

 # Override Kerberos service keytab for SASL/GSSAPI
 #KRB5_KTNAME=/etc/libvirt/krb5.tab

• 重新啟動 libvirtd 守護程式，以使更改生效：

# /etc/init.d/libvirtd restart
Stopping libvirtd daemon:                                  [  OK  ]
Starting libvirtd daemon:                                  [  OK  ]

• 既然 libvirtd 守護程式接受 TCP 連線，請將一些使用者新增至 SASL 資料庫。以下示例使用 saslpasswd2 命令將 admin 使用者新增至 libvirt 憑證資料庫。

# saslpasswd2 -a libvirt admin
Password:
Again (for verification):

注：
libvirt 是 libvirtd 守護程式認證域的 SASL 資料庫的預期名稱。請勿將任何其他名稱用於此資料庫。
請使這些憑證保持安全狀態，因為此資料庫中的每個使用者都有權登入並執行遠端虛擬機器管理。

• 如果 KVM 主機正在執行防火牆，請確保該防火牆允許傳入的流量通過 libvirtd 守護程式 TCP 偵聽埠。在預設情況下，該偵聽埠為 16509。

• 通過使用 SASL 認證（以指示啟用了 libvirt 的應用程式與 TCP 傳輸進行連線）來驗證設定是否已成功。以下示例從遠端管理站執行 virsh 命令，並以新建立的使用者 admin 的身份登入，來在 kvmhost.company.org 系統中啟動 guest02 例項：

# virsh -c qemu+tcp://kvmhost.company.org/system start guest02
Please enter your authentication name:admin
Please enter your password:
Domain guest02 started